Security Manager: una professione in evoluzione, da Manager a Evangelist

Security Manager, una professione in evoluzione certamente. Ma come sta evolvendo o come potrebbe evolvere? A porsi la domanda e ad analizzare lo scenario del Security Management  in Italia è Cristhian Re, la penna del Dazebao della Security, rubrica di S News. Re, con la sua consueta brillante verve capace d’intrattenere anche quando snocciola numeri e percentuali, non solo approfondisce l’argomento con l’approccio scientifico dello studioso, ma apre ad orizzonti futuri con la visione di chi sa scorgere il valore ed il ruolo del Security Management anche nella difesa dell’interesse nazionale e, più specificatamente, dell’eccellenza del Made in Italy, dando voce e forma ad una realtà, non soltanto ad un rischio.

Buona lettura!

di Monica Bertolo

UNA PROFESSIONE IN EVOLUZIONE: DA MANAGER A EVANGELIST

Sarà che ho superato da tempo il “mezzo del cammin di nostra vita” e ho un figlio alle prese con l’Università, sarà che per deformazione professionale tendo alla spersonalizzazione, sarà che ho trascorso più ore sui banchi che altrove, sarà che l’idealismo della gioventù ha ormai ceduto il passo al realismo della maturità, sarà che avere a che fare con studenti universitari costituisce sempre un bello stimolo… sarà per tutto questo e altro ancora che oggi il Dazebao avrà connotati diversi dal solito: di indirizzo… di orientamento.

Recentemente, infatti, ho partecipato in veste di relatore a un Webinar dal titolo “Security aziendale. Metodo e tecniche”, organizzato dall’Università degli Studi di Perugia – Scienze per l'Investigazione e la Sicurezza. Al termine del mio intervento: “Collocazione organizzativa della Security e suo ruolo in Azienda”, i ragazzi mi hanno rivolto domande puntuali, tipiche di cervelli brillanti e curiosi di conoscere ciò che il futuro riserverà loro.

Le colonne di S News che ospitano da sei anni questa rubrica appaiono, quindi, il luogo più familiare per riprendere un passaggio dello speech che ha suscitato interesse: la diffusione della figura del Security Manager in relazione alla composizione delle imprese italiane.

I dati 2018 ISTAT fotografano una situazione sostanzialmente immutata rispetto  a vent’anni fa: la quasi totalità delle imprese italiane (4.180.767, il 94,9%) sono rappresentate da micro imprese (con 0-9 addetti in organico) che occupano 7.562.378 lavoratori (il 44% della forza lavoro complessiva), 196.076 (il 4,5%) sono quelle di piccole dimensioni (10-49 addetti) che impiegano 3.505189 lavoratori (il 20%), 23.647 (lo 0,5%) sono quelle di medie dimensioni (50-249 addetti) che impiegano 2.300.901 lavoratori (il 13%), infine 4.017 (lo 0,1%) sono le aziende di grandi dimensioni (con 250 addetti e oltre) che impiegano 3.919.421 lavoratori (il 23%).

Fig. 1 – Fonte: ISTAT, dati 2018

Fig. 2 – Fonte: ISTAT, dati 2018

Vi sono aziende nel panorama italiano con diverse migliaia di dipendenti, appartenenti ai più disparati settori di business e operanti anche in ambito internazionale, che oltre a non avere una struttura organizzativa di Security non ne avvertono neppure l’esigenza (ancora oggi confusa con il mero servizio di vigilanza o la sola Physical Security: controllo accessi, antintrusione, videosorveglianza). Ben si comprende pertanto come quello 0,1% costituito da 4.017 aziende (lo 0,03% se prendiamo in considerazione le sole 1.511 imprese con oltre 500 dipendenti) si assottiglia a poche centinaia e, conseguentemente, a un numero ancor più limitato di posti di lavoro. Laddove il Security Manager è presente in azienda e riveste quel ruolo a tempo pieno (non sempre con inquadramento dirigenziale/direttore), è non di rado solo, cioè senza collaboratori.

Alcuni impavidi e illuminati colleghi hanno da tempo sostituito sui propri bigliettini da visita il titolo di Security Manager con quello più azzeccato e calzante di Security Evangelist. Quando anni fa mi imbattei nel primo di questi bigliettini da visita pensai si trattasse di una boutade (la Security annovera professionisti dotati di spirito dello humor. Io, ad esempio, faccio parte di questa categoria). E invece no. Era semplicemente la realtà dei fatti che, in seguito, imparai a conoscere. Il collega “evangelizzava”, annunciava in Azienda, tra i managers, la “lieta novella” (il credo della Security). Di quei bigliettini da visita dal 2002, anno in cui misi piede in Azienda, ne ho collezionati una dozzina. Laddove, invece, il Security Manager è presente con una struttura organizzativa o addirittura una Direzione, gestisce in media dai 2 ai 5 professionisti come lui (profili meno senior o tecnici/specialisti) che curano le attività (più spesso parte delle attività) elencate nel § 4 della norma UNI 10459:2017 “Professionista della Security – Requisiti di conoscenza, abilità e competenza”. Detta norma riporta 28 attività e relative responsabilità! Solo per citarne alcune a titolo esemplificativo: Crisis Management, Business Continuity, investigazioni, antifrode, Business/Competitive Intelligence, protezione del Management dell’Organizzazione, audit tecnici di Security, tutela del know how, del segreto industriale e delle risorse immateriali, gestione della vigilanza privata e dei servizi di sicurezza, analisi e gestione dei rischi di Security, rapporti con le Forze di Polizia e le Forze Armate, ecc. ecc.

Bruce Schneier, crittografo e saggista statunitense, da lustri sostiene che la Security non è un prodotto, ma un processo, invitando all’adozione di una visione di insieme del business, un metodo scientifico che non indulga all’approssimazione e un approccio di carattere economico-finanziario alle questioni da trattare. Un antesignano che disegnò i contorni di una figura manageriale ancora in nuce, che solo in seguito venne riconosciuta su larga scala.

Fig. 3 – Schema processo

L’articolazione della Security in Azienda è funzione di una serie di fattori interagenti quali: cogenza legislativa nell’adesione a un predefinito modello organizzativo, settore di business, mission, dimensioni, numero di assets/siti, estensione territoriale, ampiezza dello spazio operativo e, non ultima, la sensibilità del vertice aziendale. Pochissimi, ad oggi, quei settori che beneficiano di un “obbligo di legge”: gli Istituti di vigilanza (DM 269/2010), aziende che trattano informazioni classificate (DPCM 284/2015), infrastrutture critiche (D.Lgs. 61/2011):

Fig. 4 – Profili di obbligatorietà

Alla domanda di uno studente: “Secondo lei è verosimile ipotizzare nel prossimo futuro la presenza del Security Manager nelle PMI?”. La risposta è: “Sarebbe auspicabile, soprattutto laddove occorre tutelare uno specifico know how. Sappiamo, tuttavia, che l’inserimento in Azienda di una figura professionale come quella del Security Manager (in particolare se certificata) ha evidentemente un costo affatto trascurabile, che diviene oggetto di una attenta analisi di costi-benefici. I noti svantaggi di essere una PMI (bassa mentalità manageriale, dipendenza dall’imprenditore, ridotte possibilità di carriera, limitatezza risorse finanziarie, scarsi investimenti in marketing, carenze organizzative, resistenza al cambiamento) non devono offuscare i vantaggi (specializzazione produttiva, dinamicità, flessibilità, integrazione locale, vicinanza al cliente, accentramento decisionale, know-how tecnico) su cui è utile concentrarsi e investire. Come la filosofia taoista insegna, infatti, è bene evitare che anche questi ultimi si trasformino, come naturalmente accade, in “vuoti” pena il fallimento di imprese o il passaggio in mano straniera, come già infaustamente accaduto negli ultimi 20 anni (circa 800 storici brands made in Italy!) con tutto ciò che comporta in termini non solo occupazionali (relativamente ai ruoli apicali, saldamente ricoperti da managers non italiani), ma soprattutto di difesa dell’interesse nazionale. Un Paese come la Francia, ad esempio, non ha mai permesso e continua a non permettere simili emorragie. Pragmaticamente, sarebbe opportuno sensibilizzare sulle principali tematiche di Security la proprietà e le figure di spicco di quelle PMI che godono di vantaggi competitivi sui mercati, facendo ricorso a corsi di formazione ad hoc o specifiche consulenze, per incrementare o rafforzare il patrimonio di competenze già presente in azienda ed espresso dai propri manager/tecnici a libro matricola”.

Si torna, così, a quel bigliettino da visita che nel lontano 2002 mi fece scioccamente sorridere. La “evangelizzazione” appare, dunque, la via più originale e innovativa per salvaguardare la nostra identità, i nostri saperi e le nostre imprese, fonti di ricchezze per un Paese, capaci di garantire stabilità e prosperità. La professione del Security Manager avrà un futuro se sapremo concentrarci su quel 99,9% delle imprese italiane trasformandoci in infaticabili e confidenti evangelists, perché è proprio all’interno di quel vasto bacino di oltre 4 milioni di aziende che si potranno creare nuovi posti di lavoro. Buona parte dei posti appartenenti a quel misero 0,1% risulta, purtroppo, già occupato o non più disponibile in quanto venduto, anzi… svenduto a terzi.

di Cristhian Re

Chi è Cristhian Re

Attualmente Chief Security Officer & General Services di Acciai Speciali Terni. Laurea in Scienze Politiche e Lettere Moderne, MA in Intelligence and Security, ufficiale in congedo dei carabinieri, CBCI, PFSO, Lead Auditor ISO 37001, 9001, 27001, 22301, 20000, autore de “La misura della sicurezza” e “Propedeutica all’analisi del rischio”. Ha maturato la sua esperienza nell’industria della Difesa (Alenia Aeronautica e Finmeccanica), nel settore di produzione dell’Energia (Edipower), delle Multiutilies (A2A). Membro del Comitato Scientifico di S News, è curatore della rubrica Il Dazebao della Security.